Après plusieurs années de campagnes centrées sur la messagerie et le cloud des administrations, le groupe APT29, rattaché au renseignement extérieur russe, s’attaque désormais aux téléphones : la société française Sekoia a détaillé début novembre 2026 une opération d’espionnage iPhone Android baptisée Poisoned Source. De simples visites sur des sites web piégés suffisaient à déclencher l’une des trois chaînes d’exploits découvertes, capables d’aspirer messages, mots de passe et photos sur les appareils qui n’avaient pas été mis à jour.
Les chercheurs de Sekoia ont repéré l’opération à la mi-octobre 2026, en découvrant du code JavaScript malveillant dans le modèle du site internet d’un producteur de gaz ukrainien. Ils attribuent la campagne à APT29, également connu sous les noms de Midnight Blizzard et Cozy Bear, avec un niveau de confiance qualifié de moyen à élevé. Deux éléments fondent ce rapprochement : le choix des cibles, cohérent avec les intérêts stratégiques de Moscou, et des recoupements techniques avec des attaques déjà attribuées au groupe, dont des sites gouvernementaux mongols piégés en 2024.
Comment fonctionnait cet espionnage iPhone Android ?
La méthode retenue porte le nom d’attaque par point d’eau (watering hole) : plutôt que d’envoyer un message piégé à sa cible, l’attaquant compromet un site qu’elle a l’habitude de consulter et attend qu’elle s’y rende. Sekoia a recensé trois façons d’amener les victimes jusqu’au code malveillant.
- L’injection de scripts dans des sites légitimes : le producteur de gaz ukrainien, une association professionnelle de l’industrie chimique aux États-Unis, un mouvement politique tchèque et une organisation bulgare liée au secteur militaire.
- Des domaines imitant des sites réels, comme une copie du site officiel du 250e anniversaire de l’indépendance américaine (America250) et une autre de l’hôtel Raffles London at The OWO, situé à proximité de lieux sensibles du gouvernement britannique. Ces faux sites relayaient le contenu authentique tout en y ajoutant le code des attaquants.
- La compromission de Plerdy, un outil ukrainien d’analyse d’audience dont le script a été modifié entre le 27 août et le 3 septembre 2026. Ce traceur est intégré à des milliers de sites, majoritairement ukrainiens, parmi lesquels des sites de recrutement militaire et des fournisseurs d’équipements pour drones.
Dans tous les cas, un script de profilage relevait le système d’exploitation, la version du navigateur et la présence d’un écran tactile. Seuls les appareils correspondant aux critères des attaquants recevaient ensuite un exploit, sans aucune action de l’utilisateur. Ce tri explique que l’opération soit restée discrète malgré l’exposition de centaines de sites légitimes.
Quelles versions d’iOS et d’Android étaient visées ?
Sekoia a récupéré trois chaînes d’exploits distinctes, c’est-à-dire des enchaînements de failles exploitées l’une après l’autre pour prendre le contrôle d’un appareil. Leur portée varie fortement selon la version du système.
| Cible | Failles et outils | Données dérobées |
|---|---|---|
| iPhone sous iOS 16.7 | Chaîne d’exploits visant le navigateur | Cookies du navigateur et de certaines applications |
| iPhone sous iOS 18.5 | Kit d’exploitation DarkSword, découvert plus tôt en 2026 | iMessages, bases de données WhatsApp et Telegram, identifiants du trousseau, localisation, photos |
| Android | Faille de Chrome CVE-2026-3910 et faille du pilote graphique Adreno CVE-2025-27038, charge utile AndroSnitch | Cookies, identifiants et historique de Chrome, mots de passe Wi-Fi enregistrés |
Trois chaînes d’exploits, deux pour iPhone et une pour Android, toutes fondées sur des failles qu’Apple et Google avaient déjà corrigées.
Le trousseau iOS, qui stocke les mots de passe et clés de chiffrement de l’utilisateur, figure parmi les éléments les plus sensibles exfiltrés par la variante DarkSword. À l’inverse, les logiciels espions déposés ne s’installaient pas durablement sur les téléphones, d’après Sekoia : l’objectif était de collecter un maximum de données en un seul passage.
Une menace limitée aux appareils non mis à jour
Face à cet espionnage iPhone Android, la parade est connue : toutes les vulnérabilités exploitées disposent déjà d’un correctif. Les propriétaires d’iPhone doivent installer la dernière version d’iOS proposée pour leur modèle, et ceux d’un smartphone Android mettre à jour à la fois Chrome et le système. Les téléphones équipés d’une puce graphique Adreno, celle des processeurs Snapdragon de Qualcomm, sont concernés par la faille de pilote utilisée sur Android. Ce rappel vaut aussi pour les boîtiers et objets connectés, comme l’a montré le récent démantèlement d’un botnet de 1,3 million de boîtiers Android TV.
La France ne figure pas parmi les pays dont des sites ont été compromis selon les éléments publiés, qui citent l’Ukraine, les États-Unis, le Royaume-Uni, la République tchèque et la Bulgarie. Cette campagne s’inscrit dans une période où la découverte de failles s’accélère, y compris grâce à l’IA, à l’image des 948 vulnérabilités du noyau Linux identifiées par les agents d’OpenAI.
Sekoia indique travailler avec les équipes nationales de réponse aux incidents informatiques des pays concernés afin d’identifier les victimes et de neutraliser l’infrastructure des attaquants.
